Notes, absences, retards, devoirs, bulletins, photos de classe, menus de cantine, listes affichées au portail, caméras dans les couloirs : l’école enregistre sur votre enfant une quantité de données que vous ne soupçonnez pas toujours. Chaque connexion à Pronote, à l’espace numérique de travail (ENT) ou à l’application de vie scolaire laisse une trace, et chaque document que vous remettez en début d’année alimente un fichier. La question que se posent des milliers de parents est simple : que sait exactement l’école de mon enfant, qui peut le voir, combien de temps ces informations sont gardées, et que puis-je refuser, faire corriger ou faire effacer ?
Le droit applicable est précis, et il a été éprouvé devant le juge. Le Conseil d’État s’est prononcé à deux reprises sur les fichiers scolaires et sur les plaintes adressées à la Commission nationale de l’informatique et des libertés (CNIL), dont une décision du 20 mai 2026 rendue à propos de la charte informatique d’un établissement parisien. La CNIL, de son côté, a publié des positions détaillées sur les photos d’élèves, l’affichage des listes de classes et les caméras dans les établissements. Cet article décrit ce cadre, les droits concrets des parents et de l’enfant, et les recours qui permettent de les faire respecter, de la demande adressée à l’école jusqu’au juge.
I. Ce que l’école enregistre et ce qu’elle doit vous dire
A. Les fichiers, les applis et la base légale de la collecte
L’administration de l’éducation nationale tient des traitements de données à grande échelle. Le plus ancien, la « Base élèves premier degré », recense les enfants scolarisés dans le premier degré, avec leurs données d’état civil, de scolarité, les autorisations, les assurances scolaires et les activités périscolaires. Il coexiste avec la « base nationale identifiant élève », qui attribue à chaque élève un identifiant unique suivi tout au long de sa scolarité. À côté de ces fichiers nationaux, chaque établissement utilise ses propres outils : Pronote ou un logiciel équivalent pour les notes, les absences et les devoirs, l’ENT pour les cours en ligne et la messagerie, parfois une application de cantine, de transport ou de garderie, et des dispositifs vidéo pour la sécurité des locaux.
Aucune de ces collectes n’est libre. Le règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD), n’autorise un traitement que s’il repose sur l’une des bases légales qu’il énumère. Pour l’école publique, c’est le plus souvent l’exécution d’une mission d’intérêt public : l’article 6 du règlement subordonne tout traitement à une base légale et retient notamment la nécessité d’exécuter une mission d’intérêt public ou relevant de l’exercice de l’autorité publique, ainsi que le rappelle le Conseil d’État dans une affaire scolaire récente portant sur le RGPD (Conseil d’État, 20 mai 2026, n° 504639 et 504641. Autrement dit, l’école n’a pas besoin de votre consentement pour inscrire votre enfant dans ses fichiers de gestion de la scolarité, parce que la loi lui confie cette mission. Le service public de l’éducation est d’ailleurs conçu par la loi pour être construit « avec la participation des parents », comme l’énonce l’article L111-1 du code de l’éducation, ce qui suppose un dialogue loyal sur les données échangées.
Mais la mission d’intérêt public ne couvre que ce qui est nécessaire à cette mission. Tout ce qui dépasse la scolarité au sens strict change de base légale. La publication de la photo de votre enfant sur le site de l’école, l’envoi de lettres d’information commerciales, la géolocalisation permanente via une application ou la reconnaissance faciale à l’entrée de l’établissement ne relèvent pas de la mission d’enseignement. Pour ces usages, l’établissement doit trouver un autre fondement, le plus souvent le consentement, et respecter le principe de minimisation : seules les données adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités peuvent être collectées. C’est cette frontière entre le nécessaire à la scolarité et le surplus qui détermine tout ce que vous pouvez refuser.
Pour les services en ligne proposés directement à l’enfant, le RGPD ajoute une protection propre aux mineurs. Son article 8 dispose que, pour l’offre directe de services de la société de l’information aux enfants, le traitement des données d’un enfant est licite dès 16 ans, et en dessous de cet âge — un abaissement national restant possible sans descendre sous 13 ans — seul le consentement donné ou autorisé par le titulaire de la responsabilité parentale rend le traitement licite. Concrètement, une application parascolaire ou de soutien qui démarche votre enfant de 12 ans ne peut pas se contenter d’un clic de l’enfant : c’est votre autorisation qui conditionne la licéité du traitement.
B. L’information due aux familles, et ce que le juge en a dit
Avant même de parler de refus ou d’effacement, l’école doit vous informer. Les articles 12 et 13 du RGPD imposent au responsable du traitement de fournir aux personnes concernées, au moment de la collecte, son identité, les finalités du traitement, sa base juridique, les destinataires des données, la durée de conservation et l’existence de leurs droits, dans des termes clairs et simples, avec une exigence renforcée de pédagogie lorsque l’information s’adresse à un enfant. Cette information passe en pratique par la charte informatique de l’établissement, le règlement intérieur, les mentions portées sur les fiches de renseignements et les notes remises en début d’année. Une charte vague, qui se borne à affirmer que l’école traite des données sans dire lesquelles, pour quoi faire et pendant combien de temps, ne satisfait pas à cette exigence.
C’est exactement ce que la CNIL a rappelé dans une affaire jugée par le Conseil d’État le 20 mai 2026. Des parents avaient saisi la CNIL d’une plainte contre l’article 8 de la « charte RGPD » d’un établissement parisien, qui informait les familles de leurs droits d’accès, de rectification, d’opposition, de portabilité et d’effacement, tout en les prévenant que l’exercice des droits d’opposition, de portabilité et d’effacement entraînerait de fait la désinscription de l’élève, au motif que ces données seraient nécessaires au traitement. Sur le fondement du III de l’article 20 de la loi du 6 janvier 1978, la CNIL a mis l’école en demeure de procéder à l’information des personnes concernées conformément aux articles 12 et 13 du RGPD, « en particulier en modifiant l’article 8 critiqué », puis, au vu des réponses et des mesures de mise en conformité, a clôturé la mise en demeure et la plainte. Saisi par les parents, le Conseil d’État a jugé leurs requêtes irrecevables : la charte contestée avait été publiée après le départ définitif de leur enfant de l’établissement, de sorte que ses stipulations « n’ont ainsi, en aucune façon, été susceptibles d’être appliqués aux requérants », et leur saisine ne pouvait dès lors être regardée « comme présentant le caractère d’une réclamation au sens de l’article 77 du RGPD ». La décision, Conseil d’État, 20 mai 2026, n° 504639 et 504641, est consultable sur Légifrance.
Trois enseignements pratiques s’en dégagent. D’abord, une école ne peut pas conditionner la scolarité à la renonciation aux droits sur les données : lier l’exercice de l’opposition ou de l’effacement à une désinscription expose l’établissement à une mise en demeure de la CNIL. Ensuite, la CNIL traite les plaintes des familles et peut obtenir la modification d’une charte : dans cette affaire, elle rappelait que sa mission consiste à « traite les réclamations, pétitions et plaintes introduites par une personne concernée », mission que le Conseil d’État rattache, dans sa décision du 20 mai 2026, au 2° du I de l’article 8 de la loi du 6 janvier 1978 et au f) de l’article 57 du RGPD. Enfin, pour agir utilement, il faut être soi-même concerné au moment des faits : une plainte contre un document qui ne s’est jamais appliqué à votre enfant ne donne pas qualité pour contester ensuite la clôture devant le juge. Vérifiez donc toujours que la charte ou le document que vous critiquez est bien celui qui régit la scolarité en cours de votre enfant, et conservez-en une copie datée.
II. Ce que vous pouvez exiger et comment l’obtenir
A. Accéder, rectifier, effacer, s’opposer : les droits au cas par cas
Le premier droit est celui de savoir. L’article 15 du RGPD reconnaît à toute personne concernée le droit de savoir si des données la concernant sont traitées et, dans ce cas, d’y accéder, avec les informations sur les finalités, les catégories de données, les destinataires et la durée de conservation envisagée. Pour votre enfant mineur, c’est vous, titulaire de l’autorité parentale, qui exercez ce droit en son nom, l’autorité parentale ayant pour finalité de protéger l’enfant « dans sa sécurité, sa santé, sa vie privée et sa moralité », selon l’article 371-1 du code civil. Demandez la copie du dossier scolaire, la liste des destinataires des données (rectorat, collectivité, éditeur du logiciel de vie scolaire, prestataire de cantine) et les durées de conservation appliquées. L’établissement doit répondre dans les meilleurs délais à toute demande d’exercice des droits, de l’accès à l’effacement, et motiver un éventuel refus afin qu’il puisse être contesté.
Le deuxième droit est la rectification des inexactitudes : note mal reportée sur Pronote, absence injustifiée enregistrée à tort, ancienne adresse qui réapparaît sur les courriers, mention disciplinaire erronée. Signalez l’erreur par écrit, en identifiant précisément la donnée et la correction attendue, et conservez la preuve de l’envoi. Si l’école refuse ou garde le silence malgré vos relances écrites, ce silence documenté fondera la saisine de la CNIL.
Le troisième droit, le plus demandé, est l’effacement. L’article 17 du RGPD ouvre le droit d’obtenir l’effacement dans les meilleurs délais, notamment lorsque les données ne sont plus nécessaires au regard des finalités de leur collecte. Les cas scolaires typiques sont les photos et vidéos publiées sur le site de l’école après un spectacle ou un voyage, les anciennes adresses électroniques et numéros de téléphone conservés dans l’ENT, les données d’une application annexe désinstallée, et les informations périmées du dossier. L’effacement n’est pas absolu : l’école peut le refuser pour les données nécessaires à la scolarité en cours ou à une obligation légale, mais elle doit motiver ce refus, et sa réponse peut être contestée.
Le quatrième droit est l’opposition. L’article 21 du RGPD dispose que de s’opposer à tout moment, pour des raisons tenant à sa situation particulière, à un traitement fondé sur la mission d’intérêt public ou l’intérêt légitime, le responsable devant alors cesser le traitement sauf s’il démontre des motifs légitimes et impérieux qui prévaudraient. La portée de ce droit dans le monde scolaire a été fixée par le Conseil d’État dans l’affaire de la « Base élèves premier degré ». Une mère s’opposait à l’enregistrement des données de ses enfants dans ce fichier et dans la base nationale des identifiants élèves. Le Conseil d’État a jugé que le droit d’opposition alors prévu par l’article 38 de la loi du 6 janvier 1978 « est subordonné à l’existence de raisons légitimes tenant de manière prépondérante à sa situation particulière », et que la requérante, qui « se bornait à invoquer des craintes d’ordre général concernant notamment la sécurité du fonctionnement de la base, sans faire état de considérations qui lui seraient propres ou seraient propres à ses enfants », ne justifiait pas de tels motifs. La décision, Conseil d’État, 18 mars 2019, n° 406313, consultable sur Légifrance, enseigne une règle toujours valable sous le RGPD : une opposition de principe, sans élément propre à votre situation, sera rejetée, tandis qu’une opposition circonstanciée (situation familiale sensible, risque identifié, donnée manifestement excessive) oblige l’école à réexaminer le traitement. Le même arrêt fixe une limite de conservation utile à connaître : « ne peut, en tout état de cause, excéder la fin de l’année civile au cours de laquelle l’élève a cessé d’être scolarisé dans le premier degré », de sorte que des données conservées au-delà peuvent être signalées à la CNIL.
Quatre situations appellent des réflexes particuliers. D’abord les photographies. Le principe civil est que toute personne a droit au respect de sa vie privée, selon l’article 9 du code civil, et le volet pénal précise que lorsque la captation ou la diffusion de l’image est accomplie « sur la personne d’un mineur, le consentement doit émaner des titulaires de l’autorité parentale », aux termes de l’article 226-1 du code pénal. La CNIL en déduit une règle simple pour l’école : si l’établissement veut utiliser les photographies de ses élèves dans le journal de l’école, sur un trombinoscope ou sur son site, il doit donc obligatoirement obtenir le consentement écrit des parents ou représentants légaux des mineurs, comme elle l’indique sur sa page consacrée aux photos d’élèves. L’autorisation que vous signez en début d’année doit donc préciser les usages (journal interne, site public, réseaux sociaux, presse locale) et la durée ; une formule qui autoriserait toute diffusion, sur tout support et sans limite de temps, est excessive et peut être contestée. Si vous avez signé puis changez d’avis, retirez votre consentement par écrit : l’école doit cesser les nouvelles diffusions et retirer les publications en ligne qu’elle contrôle.
Ensuite les listes de classes. L’affichage du nom de votre enfant à l’entrée de l’école, visible de la rue plusieurs jours avant la rentrée, peut révéler où se trouve un enfant pendant toute la période scolaire, ce qui conduit la CNIL à recommander des bonnes pratiques avant la rentrée. Elle invite à prendre en compte les situations sensibles, par exemple en cas de conflit familial grave ou de déchéance de l’autorité parentale d’un parent. Si la publication extérieure expose votre enfant, demandez par écrit un affichage intérieur ou une communication individuelle, en expliquant votre situation particulière : c’est précisément le type de motif propre à votre situation que le juge exige pour une opposition.
Ensuite les caméras. La CNIL distingue les dispositifs qui filment la voie publique et les lieux ouverts au public, soumis au code de la sécurité intérieure avec autorisation préfectorale, et ceux installés à l’intérieur de l’établissement, soumis à la loi informatique et libertés, comme elle l’expose dans sa page sur les dispositifs vidéo à l’école. Les secondes ne peuvent filmer que les lieux de passage et de vie collective, jamais les toilettes, les vestiaires ou les salles de repos, et les personnes doivent en être informées par une signalétique claire. Les caméras dites « augmentées », qui analysent automatiquement les images, notamment par reconnaissance des silhouettes ou des comportements, ajoutent un traitement biométrique ou à risque qui ne peut pas être déployé comme une simple caméra. Si votre enfant est filmé dans des conditions qui vous paraissent excessives, demandez le registre du dispositif, sa finalité, les destinataires des images et la durée de conservation, puis exercez vos droits par écrit.
Enfin les parents séparés. En principe, l’école doit informer les deux titulaires de l’autorité parentale et recueillir les décisions importantes d’un commun accord. Mais la vie courante est facilitée par une présomption légale : « A l’égard des tiers de bonne foi, chacun des parents est réputé agir avec l’accord de l’autre, quand il fait seul un acte usuel de l’autorité parentale relativement à la personne de l’enfant », selon l’article 372-2 du code civil. La signature de l’autorisation de photographie ou la demande de copie du dossier par un seul parent est donc en général opposable à l’école, sauf si l’autre parent a notifié son désaccord ou si le juge aux affaires familiales a organisé différemment l’exercice de l’autorité parentale. En cas de désaccord persistant sur l’image ou les données de l’enfant, c’est le juge aux affaires familiales qui tranche dans l’intérêt de l’enfant, et l’école doit appliquer sa décision.
B. Saisir la CNIL puis le juge, et les relais à Paris et en Île-de-France
Procédez par étapes écrites. Adressez d’abord une demande précise au chef d’établissement ou au délégué à la protection des données : identifiez-vous, identifiez votre enfant, listez les données ou les usages contestés, visez le droit invoqué et demandez une réponse écrite dans les meilleurs délais, en conservant la preuve de l’envoi et de la date de réception. Envoyez en recommandé ou conservez l’accusé de réception électronique. En cas de refus, de réponse incomplète ou de silence, saisissez la CNIL par une plainte en ligne en joignant vos échanges : toute personne qui estime qu’un traitement viole le règlement peut introduire une réclamation auprès de l’autorité de contrôle, droit que le Conseil d’État rattache à l’article 77 du RGPD dans sa décision du 20 mai 2026 (Conseil d’État, 20 mai 2026, n° 504639 et 504641. La CNIL instruit, peut mettre en demeure l’établissement comme elle l’a fait dans l’affaire de la charte parisienne, et peut clôturer la plainte après mise en conformité. Les lecteurs qui souhaitent retracer l’ensemble du parcours de plainte, de la mise en demeure à la contestation d’une clôture, trouveront un exposé méthodique dans notre guide pour déposer une plainte CNIL, la relancer et la contester en cas d’absence de réponse.
Si la voie administrative ne suffit pas, le juge peut être saisi. Contre une décision de la CNIL qui vous concerne, l’article 78 du RGPD ouvre le recours juridictionnel effectif contre les décisions de l’autorité de contrôle, y compris lorsque celle-ci laisse une réclamation sans traitement ni information sur son avancement ou son issue, comme le rappelle le Conseil d’État dans sa décision du 20 mai 2026 (Conseil d’État, 20 mai 2026, n° 504639 et 504641. Documentez donc précisément les dates de vos envois et l’absence de réponse avant d’agir. Contre l’établissement public, le tribunal administratif est compétent pour annuler un refus d’accès, d’effacement ou d’opposition et pour enjoindre la mesure : les deux arrêts du Conseil d’État cités dans cet article montrent que ce contentieux est pratiqué et qu’il tranche au fond. En urgence, notamment pour faire cesser une diffusion en ligne de l’image de votre enfant, le référé permet d’obtenir rapidement des mesures provisoires. Au civil, l’article 9 du code civil permet au juge de « prescrire toutes mesures, telles que séquestre, saisie et autres, propres à empêcher ou faire cesser une atteinte à l’intimité de la vie privée », mesures qui « peuvent, s’il y a urgence, être ordonnées en référé », selon le texte du code civil. Au pénal, la diffusion non consentie de l’image d’un mineur peut caractériser l’atteinte à la vie privée de l’article 226-1 du code pénal, qui punit ces faits d’un an d’emprisonnement et de 45 000 euros d’amende, et la plainte s’ajoute alors aux actions civiles et administratives. La réparation du préjudice, enfin, suppose de prouver une faute ou un manquement, un dommage et un lien entre les deux : conservez captures d’écran, courriers, accusés de réception et tout élément montrant l’ampleur de la diffusion et ses conséquences pour l’enfant.
À Paris et en Île-de-France, ce parcours s’organise autour d’interlocuteurs identifiés. Les écoles et établissements publics relèvent des académies de Paris, de Créteil et de Versailles, regroupées au sein de la région académique d’Île-de-France, et chaque académie dispose d’un délégué à la protection des données et d’un médiateur académique que les familles peuvent saisir avant ou parallèlement à la CNIL. Le tribunal administratif compétent est en principe celui du lieu de l’établissement, soit le tribunal administratif de Paris pour les écoles parisiennes, ceux de Melun, Versailles ou Cergy-Pontoise selon le département francilien concerné. Préparez un dossier ordonné : copie de la demande initiale, preuve de l’envoi, réponse ou silence documenté à l’expiration du mois, copies des publications litigieuses avec leurs dates, et échanges avec l’académie. Un dossier complet déposé tôt évite les reports d’audience et donne au juge les éléments datés dont il a besoin pour enjoindre le retrait ou l’effacement.
Conclusion
Pronote, l’ENT et les fichiers de l’éducation nationale sont nécessaires à la scolarité de votre enfant, et la loi confie à l’école la mission qui justifie leur existence. Mais cette mission a des bornes : une information claire sur ce qui est collecté et pourquoi, une conservation limitée dans le temps, un consentement écrit des parents pour l’image, et des droits effectifs d’accès, de rectification, d’effacement et d’opposition, exercés par écrit et suivis jusqu’à obtention d’une réponse. Les décisions du Conseil d’État des 18 mars 2019 et 20 mai 2026 confirment que ces droits se plaident et se gagnent, à condition d’être précis, daté et circonstancié : une opposition de principe sans motif propre à votre situation sera écartée, tandis qu’une demande documentée oblige l’école, puis au besoin la CNIL et le juge, à répondre. Devant une photo publiée sans accord, une liste affichée à la vue de tous, une caméra qui dépasse sa finalité ou un dossier qui ne vous est pas communiqué, écrivez, datez, conservez, puis saisissez les relais dans l’ordre : l’établissement, son délégué aux données, la CNIL, et enfin le juge. C’est cette méthode, plus que l’indignation, qui fait effacer et cesser.